← Bibliothèque de contrôles
G01 · Gouvernance et périmètre
Responsabilité désignée
Personne ne peut accepter le risque résiduel ni maintenir l’agent dans son usage approuvé.
Exigence
Désigner un responsable, un exploitant technique et un décideur indépendant; l’implémentateur ne certifie pas son propre travail.
Preuves attendues
- Matrice des rôles signée avec droits de décision.
- Déclarations de conflits et preuve de compétence du réviseur.
Vérification proposée
- Interroger les rôles sur un scénario d’incident.
- Confirmer que le réviseur final n’a pas implémenté les contrôles.
Limite
La matrice attribue les rôles sans prouver la supervision quotidienne.